Passwörter im Unternehmen: 7 Regeln und was ein Passwortmanager leisten muss
Sichere Passwörter im Unternehmen entstehen durch zwei Dinge: wenige klare Regeln und einen Passwortmanager, der das Merken übernimmt. Jeder Zugang bekommt ein eigenes, langes Passwort, geteilt wird nur über den Tresor, und beim Austritt lässt sich jeder Zugriff an einer Stelle entziehen. So sieht das im Büroalltag aus.
Kurz gesagt
- Das größte Risiko ist das wiederverwendete Passwort: Wird es bei einem Dienst erbeutet, öffnet es alle anderen.
- Ein Passwortmanager erzeugt und speichert für jeden Zugang ein eigenes Passwort. Merken muss man sich nur noch das Hauptpasswort.
- Für Betriebe zählen geteilte Tresore, zentrale Verwaltung und ein geregelter Zugriff im Notfall.
- Gewechselt wird bei Anlass, also bei Verdacht und bei jedem Austritt, nicht mehr stur nach Kalender.
Wo Passwörter in Betrieben heute liegen
Die ehrliche Bestandsaufnahme sieht in vielen Betrieben ähnlich aus. Das Kennwort für das Bankportal klebt unter der Tastatur. Die Zugänge zu Lieferanten stehen in einer Tabelle auf dem gemeinsamen Laufwerk. Den Rest hat der Browser am Rechner der Chefin gespeichert, und für fast alles gilt dieselbe Kombination aus Firmenname und Jahreszahl.
Gefährlich wird das durch eine einfache Kette. Irgendein Onlineshop oder Portal wird gehackt, und die dort hinterlegten Zugangsdaten landen in Listen. Angreifer probieren diese Listen automatisch bei anderen Diensten durch. Passt dieselbe Kombination zum E-Mail-Postfach, ist der Rest schnell erledigt: Über „Passwort vergessen“ lassen sich von dort aus fast alle anderen Konten übernehmen.
Sieben Regeln, die ein Betrieb durchhält
- Ein Zugang, ein Passwort. Kein Kennwort wird ein zweites Mal verwendet. Das ist die wichtigste Regel, und ohne Hilfsmittel hält sie niemand ein.
- Länge schlägt Sonderzeichen. Ein langes, zufälliges Passwort ist stärker als ein kurzes mit Ausrufezeichen. Für die wenigen, die man tippen muss, eignet sich ein Satz aus mehreren zufälligen Wörtern.
- Der Passwortmanager merkt sich alles. Im Kopf bleiben nur das Hauptpasswort und die Anmeldung am Rechner.
- Zweiter Faktor für wichtige Konten. E-Mail, Banking und der Passwortmanager selbst verlangen zusätzlich eine Bestätigung am Handy.
- Persönliche Konten statt Sammelzugang. Wo ein Dienst mehrere Benutzer erlaubt, bekommt jede Person ihren eigenen. Nur so ist später nachvollziehbar, wer was getan hat.
- Geteilt wird im Tresor. Zugänge wandern nie per E-Mail, Chat oder Zettel durchs Büro.
- Wechsel bei Anlass. Geändert wird, wenn ein Verdacht besteht oder jemand den Betrieb verlässt. Auch das Bundesamt für Sicherheit in der Informationstechnik rät nicht mehr dazu, Passwörter ohne Grund in festen Abständen zu tauschen.
Alte Gewohnheit, bessere Regel
| Alte Gewohnheit | Bessere Regel |
|---|---|
| Alle 90 Tage ein neues Passwort | Wechsel bei Verdacht und bei jedem Austritt |
| Ein gutes Passwort für alles | Für jeden Dienst ein eigenes, erzeugt vom Passwortmanager |
| Kurz, dafür mit Sonderzeichen | Lang und zufällig |
| Zugang per E-Mail oder Chat weitergeben | Freigabe über einen geteilten Tresor |
| Tabelle auf dem gemeinsamen Laufwerk | Verschlüsselter Tresor mit Rechten je Person |
| Sammelkonto für das ganze Team | Eigenes Konto je Person, wo der Dienst es zulässt |
Die linke Spalte war lange üblich und steht noch in mancher Betriebsanweisung. Erzwungene Wechsel führen in der Praxis zu Passwörtern, bei denen nur die Zahl am Ende hochgezählt wird.
Was ein Passwortmanager für Unternehmen können muss
Ein Passwortmanager ist ein verschlüsselter Tresor für Zugangsdaten. Er erzeugt Passwörter, füllt sie im Browser aus und gleicht sie zwischen Rechner und Handy ab. Für den privaten Gebrauch reicht das. Im Betrieb kommen Anforderungen hinzu:
- Geteilte Tresore. Buchhaltung, Geschäftsführung und Werkstatt sehen jeweils nur ihre Zugänge.
- Zentrale Verwaltung. Konten lassen sich anlegen und sperren, ohne dass jemand an jeden Rechner muss.
- Verschlüsselung beim Nutzer. Die Daten werden auf dem eigenen Gerät verschlüsselt, der Anbieter kann sie nicht lesen.
- Anmeldung mit zweitem Faktor. Das Hauptpasswort allein öffnet den Tresor nicht.
- Protokoll. Es ist nachvollziehbar, wer wann welchen Eintrag geöffnet oder geändert hat.
- Notfallzugang. Fällt die Chefin aus, kommt eine festgelegte Vertretung an die nötigen Zugänge.
- Export. Die Einträge lassen sich vollständig mitnehmen, falls der Anbieter gewechselt wird.
Dazu kommt die Frage nach dem Speicherort. Manche Lösungen laufen in einem Rechenzentrum in der EU, andere lassen sich auf einem eigenen Server im Haus betreiben. Beides kann richtig sein, entscheidend sind die Verschlüsselung und eine saubere Einrichtung.
Einführung in fünf Schritten
- Zugänge sammeln. Jede Person notiert eine Woche lang, wo sie sich anmeldet. Die Liste wird fast immer länger als erwartet.
- Tresore festlegen. Wenige Bereiche genügen, zum Beispiel Geschäftsführung, Buchhaltung, Team und Technik.
- Mit den wichtigsten Konten beginnen. E-Mail, Bank, Domain und Hosting, Buchhaltung. Beim Eintragen bekommt jedes Konto gleich ein neues Passwort.
- Kurz einweisen. Ein Termin am eigenen Rechner reicht: anmelden, Eintrag anlegen, Passwort ausfüllen lassen, Zugang teilen.
- Alte Ablagen löschen. Tabelle, Zettel und die im Browser gespeicherten Kennwörter verschwinden, sonst leben beide Welten weiter.
Der fünfte Schritt wird am häufigsten ausgelassen. Solange die alte Tabelle existiert, schaut im Zweifel doch wieder jemand dort nach. Wer die Einführung nicht nebenbei stemmen will, gibt sie an die IT-Betreuung ab.
Was beim Austritt und im Notfall passiert
Verlässt jemand den Betrieb, zeigt sich der Wert der Ordnung. Das Konto im Passwortmanager wird gesperrt, und eine Übersicht zeigt, welche geteilten Zugänge diese Person kannte. Genau diese Passwörter werden geändert, der Rest bleibt unberührt. Ohne Tresor hieße das: alles ändern oder hoffen.
Der zweite Ernstfall ist der Ausfall der Person, die alles weiß. Für sie gibt es einen Notfallzugang, der schriftlich geregelt und an einem sicheren Ort hinterlegt ist. Wer Ein- und Austritte ohnehin über eine feste Benutzer- und Rechteverwaltung abwickelt, nimmt den Passwortmanager in diesen Ablauf auf.
Wo das Passwort allein nicht mehr reicht
Auch das beste Passwort lässt sich auf einer gefälschten Anmeldeseite abgreifen. Deshalb gehört zu jedem wichtigen Konto ein zweiter Faktor. In Microsoft 365 lässt er sich für alle Konten verbindlich vorschreiben.
Mittelfristig lösen Passkeys viele Passwörter ab. Dabei weist sich das Gerät selbst aus, bestätigt per Fingerabdruck oder PIN, und es gibt nichts mehr, was sich abtippen oder erbeuten ließe. Gute Passwortmanager verwalten Passkeys bereits mit. Bis alle Dienste so weit sind, bleiben die sieben Regeln die Grundlage.
